信息安全等级测评报告案例（全）

《信息安全等级测评报告案例（全）》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、系统安全等级差距测评报告管理软件系统安全等级测评报告系统名称：委托单位：测评单位：2010年05月系统安全等级差距测评报告报告摘要一、测评工作概述XXXXXX国库集中支付单位版系统是XXXXXX的一个等级保护二级系统。该系统主要提供预算单位使用，主要包括上报用款计划、直接支付用款申请、开具单位授权支付令等业务。本次测评主要依据GB/T-22239《信息系统安全等级保护基本要求》、《信息系统安全等级保护测评准则》，针对XXXXXX国库集中支付单位版系统，按照物理安全、网络安全、主机安全、应用安全、数据安全、安全管理机构、安全

2、管理制度、人员安全管理、系统建设管理、系统运维管理10个类别进行测评。二、等级测评结果由于XXXXXX国库集中支付单位版系统的基本符合项和不符合项总数较多且会导致信息系统面临高等级安全风险，因此该系统的测评结论为不符合。三、系统存在的主要问题在网络层面：未采取措施对网络设备运行状况、网络流量、用户行为等进行日志记录，无入侵防范措施措施。主机层面：主机安全配置大部分为默认配置，未根据业务进行优化；未采取技术手段，定期对网络系统和业务应用系统进行漏洞扫描，不能及时发现系统自身存在的高危风险漏洞。系统安全等级差距测评报告在应用层

3、面：未采取技术措施保障通信的完整性，应用层资源控制力度较弱。四、系统安全建设、整改建议建议采取漏洞扫描、安全审计、入侵防范等措施，消除网络层面和主机层面存在的安全隐患。XXXXXX国库集中支付单位版系统安全等级差距测评报告XXXXXX信息安全技术有限公司报告目录1测评项目概述11.1测评目的11.2测评依据11.3测评过程11.4报告分发范围32被测系统情况42.1基本信息42.2业务应用42.3网络结构42.4系统构成52.4.1业务应用软件52.4.2关键数据类别62.4.3主机/存储设备62.4.4网络互联与安全设备

4、62.4.5安全相关人员72.4.6安全管理文档72.5安全环境83等级测评范围与方法93.1测评指标93.1.1基本指标93.1.2附加指标113.2测评对象113.2.1测评对象选择方法113.2.2测评对象选择结果123.3测评方法153.3.1现场测评方法15XXXXXX国库集中支付单位版系统安全等级差距测评报告XXXXXX信息安全技术有限公司3.3.2风险分析方法154等级测评内容164.1物理安全164.1.1结果记录164.1.2问题分析174.1.3单元测评结果174.2网络安全184.2.1结果记录184

5、.2.2问题分析194.2.3单元测评结果204.3主机安全204.3.1结果记录204.3.2问题分析214.3.3单元测评结果224.4应用安全224.4.1结果记录224.4.2问题分析244.4.3单元测评结果244.5数据安全及备份恢复244.5.1结果记录244.5.2问题分析254.5.3单元测评结果254.6安全管理制度254.6.1结果记录254.6.2问题分析264.6.3单元测评结果264.7安全管理机构274.7.1结果记录274.7.2问题分析274.7.3单元测评结果284.8人员安全管理294

6、.8.1结果记录294.8.2问题分析294.8.3单元测评结果304.9系统建设管理304.9.1结果记录30XXXXXX国库集中支付单位版系统安全等级差距测评报告XXXXXX信息安全技术有限公司4.9.2问题分析324.9.3单元测评结果324.10系统运维管理334.10.1结果记录334.10.2问题分析364.10.3单元测评结果364.11工具测试375等级测评结果385.1整体测评385.1.1安全控制间安全测评385.1.2层面间安全测评415.1.3区域间安全测评425.1.4系统结构安全测评425.2测

7、评结果425.3统计图表466风险分析和评价476.1安全事件可能性及后果分析476.2系统安全问题风险分析和评价表497系统安全建设、整改建议527.1物理安全527.2网络安全527.3主机安全527.4应用安全527.5数据安全及备份恢复537.6安全管理制度537.7安全管理机构537.8人员安全管理537.9系统建设管理53XXXXXX国库集中支付单位版系统安全等级差距测评报告XXXXXX信息安全技术有限公司7.10系统运维管理54附录一：安全漏洞扫描报告55附录二：XXXXXX国库集中支付单位版系统等级保护评估

8、表1041XXXXXX国库集中支付单位版系统安全等级差距测评报告XXXXXX信息安全技术有限公司1测评项目概述1.1测评目的实施信息安全等级保护，可以有效地提高XXXXXX信息安全建设的整体水平，并且指明方向。有利于在信息化建设过程中同步建设信息安全设施，保障信息安全与信息化建设相协调；有利于加强对涉及